Wavecrack

Description

Une interface Web conviviale pour partager une boîte de craquage hashcat entre plusieurs utilisateurs avec des options prédéfinies.

Captures d'écran

• La page d'accueil
• Ajout d'un hash à craquer
• Visualisation des résultats et statistiques

Vue d'ensemble

• Cette application Web peut être utilisée pour lancer des craquages de mots de passe asynchrones avec hashcat.
• L'interface essaie d'être la plus conviviale possible et facilite le choix de la méthode de craquage ainsi que l'automatisation de la succession de différents modes d'attaque.
• Elle affiche également des statistiques concernant les mots de passe craqués et permet d'exporter la liste des mots de passe craqués au format CSV.
• L'application est conçue pour être utilisée dans un environnement multi-utilisateurs avec une stricte séparation entre les résultats de craquage des différents utilisateurs : l'authentification des utilisateurs peut se faire via un annuaire LDAP ou une authentification de base.

Utilisation

Wavecrack peut être utilisé pour effectuer les actions suivantes :

• Ajouter de nouveaux hachages de mots de passe, choisir le mode d'attaque et la durée du craquage
• Visualiser les craquages passés et en cours pour votre utilisateur avec statistiques et graphiques
• Visualiser la charge globale de la plateforme
• Télécharger un fichier protégé par mot de passe et en extraire le hachage

Les modes d'attaque sont suivis dans l'ordre où ils apparaissent sur le formulaire de soumission du hachage.
Il est également possible d'arrêter un craquage. Cependant, toute annulation est définitive.
Une limite au nombre de craquages simultanés peut être définie dans les paramètres afin de ne pas réduire les performances des craquages en cours.

Prérequis

• hashcat : suivez ces instructions pour une utilisation uniquement CPU sur un hôte Kali Linux
• flask (>=0.10.1)
• celery (>=3.1.18)
• SQLite (>=3.8.7.4)
• rabbitmq-server (>= 3.4.3)
• Règles pour hashcat (exemples)
• Listes de mots (exemples)

Installation

• Installez le serveur RabbitMQ et les dépendances python-ldap

$ apt-get install libsasl2-dev libldap2-dev libssl-dev rabbitmq-server

• Installez les dépendances Python requirements

$ pip install -r requirements.txt

• Créez un fichier de configuration cracker/app_settings.py à partir du fichier cracker/app_settings.py.example et modifiez notamment la section Mandatory settings :

  • Le chemin de hashcat
  • La chaîne de connexion RabbitMQ : par défaut, le compte guest/guest est utilisé. Assurez-vous de sécuriser votre installation
  • Le chemin de la base de données SQLite
  • Le chemin des règles hashcat
  • Le chemin des listes de mots
  • Les paramètres LDAP :
    • Adresse IP
    • port
    • Base de données LDAP pour les utilisateurs
    • DN de base

• Initialisez la base de données locale référencée dans le fichier de configuration cracker/app_settings.py

$ sqlite3 base.db < base_schema.sql

• Démarrez le serveur RabbitMQ

$ sudo service rabbitmq-server start

• Démarrez Celery depuis le dossier de l'application

$ celery worker -A cracker.celery

• Lancez le serveur Web Flask

  • Directement depuis le fichier server.py : ce mode n'est pas adapté à une utilisation en production
  root@kitploit:~

  $ python server.py
  

  • Avec un script wsgi : un exemple de app.wsgi.example est fourni
  • De même, supervisorctl peut être utilisé pour gérer celery avec un exemple de fichier de configuration dans supervisorcelery.conf.example

• Pour arrêter les craquages après un certain temps, vous pouvez utiliser le script cron fourni.

• Si vous souhaitez mettre à jour la liste des hachages supportés, vous pouvez utiliser le script dédié qui analysera le wiki de hashcat et générera un fichier mis à jour. Pour ce faire, vous devez avoir BeautifulSoup installé sur votre système.

Enfin, si vous ne souhaitez pas configurer votre propre machine virtuelle, vous pouvez utiliser le processus basé sur Docker décrit dans le dossier docker.

Copyright et licence

Tous les noms de produits, logos et marques sont la propriété de leurs détenteurs respectifs.
Toutes les ressources publiées dans wavecrack sont des logiciels libres : vous pouvez les redistribuer et/ou les modifier selon les termes de la Licence Publique Générale GNU telle que publiée par la Free Software Foundation, soit la version 3 de cette licence, soit (à votre discrétion) toute version ultérieure. Voir la Licence Publique Générale GNU pour plus de détails.

Contact

• Cyprien Oger < cyprien.oger at wavestone d0t com >
• CERT-W < cert at wavestone d0t com >